Autorooter
PeligrosidadDañoPropagación

Efectos 

Autorooter tiene los siguientes efectos en el ordenador afectado:

• Permite que un hacker gane acceso remoto al ordenador, de forma que puede realizar, entre otras, las siguientes acciones: formatear el disco duro, añadir nuevos usuarios, etc.
• Descarga en el ordenador infectado ficheros de tipo backdoor.
• Abre los puertos 135, 139 y 445.

Metodo de Infección 

Autorooter crea los siguientes ficheros en el directorio raíz de la unidad C:

• TFTPD.EXE: es un servidor FTP que el troyano emplea para realizar la descarga de un fichero de tipo backdoor en el ordenador afectado.
• RPC.EXE: ejecuta el programa servidor FTP y genera direcciones IP.
• RPCTEST.EXE: envía una cadena a cada una de las direcciones IP generadas por RPC.EXE.
• LOLX.EXE o DCOM.EXE: fichero de tipo backdoor que, o bien acompaña al troyano, o bien se descarga a través de FTP. Este fichero es reconocido por Panda Antivirus como Bck/IRCbot.gen.

Autorooter realiza el siguiente proceso de infección:

• Se activa al ser ejecutado, e instala los programas TFTPD.EXE, RPC.EXE y RPCTEST.EXE en el ordenador afectado.
• Genera direcciones IP cuyo primer byte puede ser uno de los siguientes: 4, 12, 24, 64, 65, 68, 128, 165, 208, 211, 213, 217, 218 ó 220; su segundo byte es aleatorio, y los dos últimos bytes van incrementándose sucesivamente.
• Cuando encuentra una dirección IP válida, se conecta a esa máquina y comprueba si puede aprovechar la vulnerabilidad DCOM-RPC, enviando para ello una cadena.
• En caso afirmativo, emplea el servidor FTP TFTPD.EXE para descargar en el ordenador el fichero de tipo backdoor LOLX.EXE o DCOM.EXE.
• Este último fichero permite ganar acceso remoto al ordenador afectado.

Método de Propagación 

Autorooter no utiliza ningún método específico para difundirse. De hecho, puede utilizar cualquiera de los métodos de propagación normalmente utilizados por los virus: disquetes, CD-ROMs, mensajes de correo electrónico con ficheros adjuntos infectados, descargas de Internet, transferencia de ficheros a través del FTP, etc.

Otros Detalles  

Para que conozca un poco mejor a Autorooter, a continuación le presentamos alguna característica adicional:

• Está escrito en el lenguaje de programación Visual Basic.
• El fichero que realiza la infección tiene un tamaño de 113507 Bytes cuando se encuentra comprimido con UPX.
• El fichero RPC.EXE ha sido escrito en Visual Basic y tiene un tamaño de 40960 Bytes. Los ficheros RPCTEST.EXE y TFTPD.EXE tienen unos tamaños de 92 y 140 Kilobytes, respectivamente.